DSGVO-Compliance für KMU: das praktische Minimum
DSGVO kostet nicht €10.000 und erfordert keinen DSB bis zu einer bestimmten Unternehmensgröße. Das ist, was jedes KMU mindestens vorweisen sollte — basierend auf dem, was die Aufsichtsbehörden tatsächlich prüfen.
Die DSGVO (GDPR) gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet. Für ein KMU bedeutet das: alle. Aber daraus muss kein €10k-Beratungsprojekt werden.
Die acht Dinge, die du brauchst
- Verarbeitungsverzeichnis — was du verarbeitest, wozu und auf welcher Rechtsgrundlage.
- Auftragsverarbeitungsverträge (AVVs) mit jedem Dienstleister, der deine Daten berührt.
- Datenschutzerklärung auf deiner Website.
- Verfahren für Betroffenenrechte (Auskunft, Berichtigung, Löschung).
- Cookie-Einwilligung auf deiner Website.
- Verfahren zur Datenpannenmeldung (72-Stunden-Frist).
- Aufbewahrungsfristen je Datenkategorie dokumentiert.
- Grundlegende Schulung für Mitarbeitende zu Phishing, Passwörtern und Datenweitergabe.
Wann brauchst du einen DSB (Datenschutzbeauftragten)?
- Behörden und öffentliche Stellen — immer.
- Kernaktivität ist die umfangreiche Überwachung (Videoüberwachungsunternehmen, Marketing-Tracker).
- Kernaktivität ist die Verarbeitung „besonderer Kategorien" (Gesundheit, Strafrecht).
Die meisten KMU fallen nicht in diese Kategorien. Wenn du dennoch zur Benennung verpflichtet bist, kannst du einen externen DSB auf Stundenbasis beauftragen.
DSFA: wann?
Eine Datenschutz-Folgenabschätzung (DSFA) ist bei risikoreichen Verarbeitungen erforderlich. Für typische KMU selten nötig — außer wenn du mit Gesundheitsdaten, Biometrie oder umfangreicher Profilbildung arbeitest.
Sanktionsrisiko
Bußgelder können bis zu 4 % des weltweiten Jahresumsatzes betragen. In der Praxis: Die Aufsichtsbehörden gehen seit 2023 auch bei kleinen KMU strenger vor. Häufigste Feststellungen: kein Verarbeitungsverzeichnis, keine AVVs, zu weitreichende Cookies.
Überschneidung mit ISO 27001
Arbeitest du gerade an ISO 27001? Dann ist 40 % der DSGVO-Arbeit bereits erledigt. Umgekehrt gilt das genauso.
Volledige gids: Cumplimiento GDPR para pymes: el mínimo práctico
Dit artikel is onderdeel van onze uitgebreide AVG & privacy-gids. Lees de pillar voor het complete plaatje.
Lees de pillar →